Opinión
Los problemas complejos tienen soluciones complejas y eso ocurre con la ciberseguridad, que no depende sólo ni de sistemas, ni de procesos, ni de personas sino de la interacción de todo a la vez. Es un ecosistema vivo que evoluciona y sobre el que hay que intervenir en movimiento. Los que nos dedicamos a la ciberseguridad sabemos lo difícil y lo satisfactorio que es. Entre las variables más sensibles y complejas están la cultura y el liderazgo. Para comprender cómo ambas contribuyen a una ciberseguridad más robusta, es necesario repasar previamente las características organizativas y habilidades individuales que describen las dos seguridades que rigen cualquier organización: Seguridad Reglada la que intenta anticiparse a las situaciones ya previstas y que se basa en gestionar riesgos conocidos. Una de las claves es la disciplina organizativa basada en normas y procedimientos, donde la organización ejerce una gran supervisión y control y en la que el aprendizaje está basado en el entrenamiento y el análisis profundo de los incidentes y cuasi incidentes. Seguridad Gestionada, cuyo objetivo es afrontar los imprevistos y ello requiere agentes con una gran autonomía, en los que la organización ejerce poca o nula supervisión y control, donde existen normas generales y orientativas. Se gestionan situaciones en las que es clave la autoridad del experto, donde las jerarquías no constriñen. Se valora la iniciativa, y el aprendizaje está basado en experiencias que suelen ser únicas. La experiencia ha demostrado que dos de las mayores fragilidades organizativas son la consciencia de que la falta de incidentes serios se debe a la robustez del sistema y que de forma paulatina y sin que la organización sea realmente consciente se normalicen los riesgos inaceptables. Conscientes de ello, surge la necesidad de responder a las siguientes preguntas, ¿cómo se interviene en estas situaciones? ¿Cómo se lucha contra la complacencia organizativa? ¿Cómo una organización alcanza las características propias de aquellas altamente fiables? La respuesta a todo está en el fomento de una Cultura y liderazgo en ciberseguridad. La cultura de seguridad es un conjunto de maneras de hacer y pensar, ampliamente compartidas por los actores de una organización en todo lo relativo al control de los principales riesgos de la actividad. Esta cultura, refleja la influencia de la cultura organizacional sobre las prácticas y pensamientos que afectan la seguridad. Para fortalecer ambos aspectos, individual y organizativo, es necesario un compromiso de la empresa por reconducir la tendencia a simplificar las explicaciones, asumir el compromiso con la resiliencia organizativa, fomentar la capacidad para convivir con situaciones que son incómodas, prepararse para lo inesperado y saber gestionarlo, desarrollar la capacidad para dar respuestas rápidas, mantener la preocupación por el error, admitirlo y buscar cómo evitarlo y por desarrollar estructuras que hagan frente a lo inesperado con independencia de la jerarquía habitual. Para que una organización colectivamente admita la vulnerabilidad y se organice para trabajar sobre las cuestiones anteriores, además de promover una cultura robusta en ciberseguridad, debe fomentar un liderazgo individual, entendido como promover la capacidad de una persona para movilizar a un equipo en torno a la seguridad e influir en el comportamiento de los demás. Algunas de estas características requieren aspectos innatos puesto que ser influyente, es independiente del nivel jerárquico que cada uno ostenta. Tiene que ver con cómo te perciben los demás y cómo de alineados están el discurso y la acción. Pero, sin duda, hay otras cualidades que se pueden adquirir, trabajar y entrenar. Un líder en ciberseguridad debe fomentar un liderazgo participativo, generar un ambiente de diálogo no punitivo, fomentar la proactividad y tener una gran capacidad para trabajar en equipo, que según mi experiencia, se traduce en tener humildad contextual para aceptar que no lo sabemos todo y que necesitamos de los demás, curiosidad para acercarse de forma honesta a lo que surja que le permita comprender lo que acontece, capacidad para integrar todas las visiones afectadas y disposición sincera para aprender y asumir riesgos. La Cultura de Seguridad es responsabilidad de todos y todos debemos ayudar a nuestras organizaciones a fomentar estos valores individual y colectivamente que supondrán virtudes que contribuirán a mantener empresas más sanas y viables, en aspectos más allá de la ciberseguridad. Esther Mateo Directora General de Seguridad, Procesos y Sistemas Corporativos en ADIF
15 Julio 2024
Opinión
Como ingeniero naval no me resisto a comparar la ciberseguridad con un barco. Estando navegando en el mar se tiene una sensación intranquila cuando se acerca la tormenta. Nos lo avisan y tomamos precauciones, repasas el barco, contrastas la información que tienes con externos, hablas con los otros tripulantes y tratas de predecir la situación a la que te vas a enfrentar con intranquilidad pero sabiendo que actuarás para lo que viene. El futuro de la ciberseguridad nos crea intranquilidad y nos hace prepararnos para un futuro con riesgos ciertos. Cuando eres consejero tratas de vigilar los riesgos por la solvencia y la estabilidad con buen gobierno y gestión. Para ello cuidas de las tres líneas de defensa contra la ciberseguridad, y examinas y controlas la regulación. Estamos en un momento de intensa regulación, Europa se convierte en esto, como en otras cosas, en un ente líder de desarrollo de normas y procedimientos. Vienen años de mucho trabajo para cumplir con las normas. Pienso que es motivo para reforzar no solo los perfiles internos, sino la composición de los consejos. Debe existir al menos algún consejero que haya tenido la gestión de la ciberseguridad bajo sus responsabilidades. Los ataques de ciberseguridad van a aumentar exponencialmente y se van a ver apoyados con mejores herramientas, la inteligencia artificial se usará para el diseño, predicción y gestión del ataque. Nosotros hemos de utilizar igualmente algoritmos y herramientas que nos permitan ser resilientes. La computación cuántica tardará algunos años en ser utilizable a nivel empresarial, que nos permitirá hacer simulaciones y explotar algoritmos en otra dimensión, pero el software cuántico, corriendo en entornos actuales sí está aquí en poco tiempo, este software permitirá eliminar barreras de forma sencilla y pondrá a la luz datos hoy protegidos. ¿Tenemos los procedimientos adecuados contra este evento real? ¿Tenemos los conocimientos y colaboradores externos necesarios para el software cuántico? Debemos probar y adquirir talento en estos momentos para prepararnos para esta circunstancia. Hemos de partir de la hipótesis que hemos sido atacados y que debemos gestionar la crisis para volver a la normalidad en la gestión de los procesos y procedimientos. La gestión de una crisis debe probarse regularmente y vigilar porqué los procesos nos permiten restaurar la situación y gestionarla de forma correcta. La comunicación interna y externa es crítica. La colaboración público privada y la transparencia en la gestión de los incidentes debe ser total, incluyendo a nuestros clientes y el consejo debe velar por ello. El consejo debe formarse en ciberseguridad, en la regulación que viene de forma periódica y debe exigir que la formación de todos y cada uno de los empleados sea la necesaria y frecuente en cada ejercicio. Regularicemos las revisiones de las políticas y gestión ciber en el consejo y aseguremos que el CEO y el comité de dirección se sientan los responsables de ello, facilitando los recursos precisos en las tres líneas de defensa y siguiendo las directrices que identifique el CISO, el auténtico conocedor y apoyo para la empresa. El CISO se convierte en un directivo crítico, debe tener capacidad, recursos y gobernanza suficiente para hacer su trabajo de forma independiente, y orquestar los procedimientos y gestiones precisas. Cuando estemos en la tormenta, si no hemos podido evitarla, que es lo más prudente, y se rompa una vela, la solución no es cargarse la pala del timón (al CISO), sino que el patrón (el CEO), maneje la caña del timón de forma adecuada para que el resto de las velas y el casco nos ayuden a salir de la crisis. Repasemos en puerto los daños, reparemos y reforcemos la tripulación y el barco para nuestro próximo incidente. Feliz singladura. Federico Flórez Consejero Independiente
15 Julio 2024
Opinión
Leer las noticias en los periódicos cada día especialmente en el plano internacional se hace complicado. Conflictos y tensiones geopolíticas, algunos muy visibles en la prensa generalista, otros menos, aparecen y se prolongan en el tiempo mucho más allá de las fronteras de lo razonable, generando consecuencias inaceptables en términos de sufrimiento humano. Estas tensiones están provocando una tendencia cada vez más proteccionista e individualista de los estados, bloques aliados más o menos definidos que se apoyan entre sí y se enfrentan entre ellos, a veces en clara guerra declarada en el plano físico, y otras, en una guerra no declarada en el plano virtual, pero igualmente relevante y de consecuencias también preocupantes. La guerra en el ciberespacio no es nueva, y en muchos ámbitos pasos previos como el espionaje o el compromiso silencioso de objetivos del posible bando rival, de sus infraestructuras críticas, de sus activos relevantes, en preparación ante un posible conflicto, pueden llevar años gestándose. Pero las consecuencias de estas acciones tan silenciosas pueden ser igual de impactantes que otras actividades más visibles en el plano físico. Yendo desde el mero espionaje por el interés de la información sensible, hasta la completa disrupción de servicios que pueden ser esenciales para la ciudadanía en momentos de conflicto. Lamentablemente hemos podido ver algunas de estas consecuencias en los ataques a sistemas de ferrocarriles en distintos países en el conflicto de Ucrania, o al gigante de telecomunicaciones Ucranio dejándolo sin servicio. Ante los conflictos, los ejércitos se rearman, los presupuestos de defensa crecen. Hemos visto el llamamiento de la OTAN a sus países a invertir un 2% de su PIB en la Defensa, que España todavía no ha logrado cumplir. La respuesta de los estados a esta escalada en el plano virtual no se ha hecho esperar, así hemos visto aparecer regulaciones con propósito cada vez más proteccionista como la ley de ciberseguridad del 5G o las nuevas directivas europeas NIS2 o DORA que están llamadas a ser traspuestas por los estados en los próximos meses. Ante este panorama cada vez más defensivo por parte de los gobiernos y estados, me cabe la reflexión, ¿saldremos de esta situación de tensión o escalada simplemente a base de individualismo y proteccionismo? Mi percepción es que probablemente no. ¿Qué podemos hacer? Pues prepararnos, transformar nuestra cultura y mentalidad para adaptarnos a un entorno virtual con otro nivel de riesgo. Igual que hicimos en el mundo físico. Ya no nos acordamos, pero hubo un tiempo en que las casas no tenían cerraduras, las ventanas no tenían rejas y los niños jugaban solos y tranquilos en las calles. El tráfico creciente en las calles, el crecimiento de las urbes donde los vecinos no se conocen tanto y el incremento de los riesgos ha hecho que nos adaptemos y cambiemos algunas de nuestras costumbres, añadiendo mecanismos de protección que hoy nos resultan normales, y que sin ellos nos sentiríamos vulnerables. Y no somos, creo menos felices por ello, simplemente nos hemos adaptado. El camino es esencialmente el mismo, tenemos que crear un nuevo estándar. Necesitamos construir un mundo donde los mecanismos básicos de protección no se discutan, se implanten de base (para esto son básicos). Tanto para empresas, gobiernos, como para los ciudadanos en general. Que la seguridad no sea un valor añadido, un extra, un adorno, que sea el pilar en la que asentamos un mundo virtual seguro. Que estos conocimientos, de nuevo, básicos, sean accesibles para todos. Que sea parte de la cultura de todos los individuos en la sociedad entender ciertos riesgos, y ciertos controles, y hacerlos parte de su vida. Laura Iglesias Head of Cybersecurity Spain & EU Cluster at Vodafone
15 Julio 2024
Sin categoría
Si no vives aislado del mundo te habrás dado cuenta de que la Inteligencia Artificial (IA) está impregnando nuestras vidas de manera exponencial. A través de todo: desde la tecnología que impulsa nuestros teléfonos inteligentes hasta las funciones de conducción autónoma en los automóviles o la automatización del servicio al cliente. Su capacidad para realizar determinadas tareas como redactar textos, componer música y crear arte digital no deja de acaparar titulares y persuadir a los consumidores y hogares a experimentar por su cuenta. En adelante trataremos de explicar cómo la IA está impactando en el mundo empresarial y- más concretamente- en la disciplina de gestión por procesos de negocio (Business Process Management - BPM). Durante décadas las organizaciones han confiado en metodologías BPM para diseñar, analizar y optimizar sus procesos con el objetivo de lograr operaciones más fluidas y efectivas. Además del modelado, diseño y análisis de procesos, la automatización y optimización son aspectos clave de BPM; y las tecnologías de software desempeñan un papel importante en su implementación exitosa. La Inteligencia Artificial sin duda alguna impulsa la mejora continua de los procesos, permitiendo analizar datos de múltiples fuentes y correlacionarlos. De este modo, la IA puede identificar áreas de mejora en determinados procesos empresariales y sugerir optimizaciones. Esta capacidad de análisis avanzado permite a las organizaciones abordar proactivamente los desafíos y responder rápidamente a las oportunidades emergentes. Asimismo, la IA ofrece una visión más completa y objetiva de los procesos empresariales. A diferencia de los seres humanos, viéndose limitados por su experiencia y conocimientos previos, la IA evalúa toda la información disponible de manera imparcial. Esta capacidad garantiza que las decisiones se tomen basándose en una comprensión completa de los datos, minimizando los sesgos e interpretaciones subjetivas. Actualmente, la IA embebida en nuestro software puede analizar datos existentes de la empresa, como registros de transacciones o registros de actividades identificando automáticamente los procesos existentes. Esto es especialmente útil en grandes corporaciones con multitud de procesos. Además, la velocidad a la que se está desarrollando la tecnología de IA generativa nos permite incluir nuevas funcionalidades. Por ejemplo, la IA va a jugar un papel fundamental en la simplificación y aceleración del modelado de procesos. Mediante la creación de una interfaz de lenguaje natural, los usuarios podrán diseñar y editar diagramas de procesos de manera intuitiva. La generación automática de descripciones de procesos, detección y corrección de errores son solo algunas de las funcionalidades que harán de BIC Process Design una herramienta revolucionaria en el ámbito de BPM. La IA también actuará como un asistente de modelado, sugiriendo actividades y puntos de decisión basados en interacciones del usuario y permitiendo la identificación y modelado de diferentes variaciones del proceso. Esta integración de la IA no solo simplifica el modelado, sino que también fomenta la innovación y la creatividad en la optimización de procesos. En un futuro cercano los usuarios podrán interactuar con la IA embebida en BIC en un formato de pregunta-respuesta, facilitando la recuperación de información rápida y precisa. Además, la IA juega un papel crucial en la formación e incorporación de nuevos usuarios, guiándolos en el proceso de modelado y asegurando una adopción efectiva de la plataforma. Automatización Impulsada por IA Mediante técnicas de IA nuestro software permite la simulación avanzada de procesos, lo que ayuda a las organizaciones a probar diferentes cambios en el modelo de proceso y ver cómo afectarían al rendimiento antes de implementarlos en el entorno real. Se identifican también tareas repetitivas que pueden ser automatizadas, liberando a los empleados para que se centren en tareas de mayor valor añadido, más estratégicas y creativas, permitiendo a las empresas reducir costos y aumentar la eficiencia. A través del aprendizaje automático la IA mejorará continuamente la automatización de procesos, identificando patrones y optimizando las automatizaciones. La Inteligencia Artificial simplificará la interacción con los usuarios, facilitará la recuperación de datos relevantes de interacciones anteriores y podrá autocompletar campos de formulario y proporcionar instrucciones claras sobre etiquetas y requisitos de campos, mejorando la precisión y eficiencia en el proceso de llenado de formularios. En resumen, la integración de la Inteligencia Artificial en plataformas de Gestión de Procesos de Negocio ya representa un hito significativo en la evolución de la gestión de procesos empresariales. Al unir la capacidad analítica y predictiva de la IA con las metodologías probadas de BPM, las organizaciones están en una posición única para lograr operaciones más eficientes, decisiones más informadas y, en última instancia, ganar ventaja en un mundo empresarial cada vez más competitivo. Antonio Sánchez Arnanz Director desarrollo negocio GBTEC España&Latam
7 Junio 2024
Sin categoría
Madrid, 6 de junio de 2024. Synack, plataforma líder en soluciones de pruebas de penetración como servicio (PTaaS), ha anunciado una integración con la empresa líder en tecnología de ciberseguridad Nucleus Security para cerrar la brecha entre la gestión de vulnerabilidades y las pruebas de seguridad. La plataforma PTaaS de Synack proporciona información procesable sobre vulnerabilidades explotables en el entorno de un cliente. Las herramientas de gestión de vulnerabilidades, como los escáneres, proporcionan información de seguridad útil, pero los equipos de seguridad no suelen coordinar sus resultados con las soluciones de pentesting. Con la integración Nucleus/Synack, los clientes pueden introducir datos de pruebas de seguridad de Synack en el proceso de gestión de vulnerabilidades de Nucleus, visualizando los datos de Synack junto con información derivada de otros activos y fuentes de vulnerabilidades. Esta integración mejora la visibilidad global de la seguridad de las organizaciones. La integración también añade priorización al ciclo de vida de la gestión de vulnerabilidades. Los proveedores de gestión de vulnerabilidades y pruebas de seguridad, incluido Synack, proporcionan un excelente contexto de vulnerabilidad: gravedad, puntuación CVSS, explotabilidad y recomendaciones de corrección. Sin embargo, debido a que los datos pueden estar aislados o faltar el contexto empresarial de los activos afectados por cada fallo, puede ser difícil priorizar qué vulnerabilidades abordar. Este reto se complica por el hecho de que los clientes pueden utilizar muchas herramientas, cada una con sus propias fuentes de datos sobre vulnerabilidades. Para contrarrestar esto, Nucleus proporciona una puntuación de riesgo personalizada en una escala de 0 a 1.000 que combina información sobre vulnerabilidades de múltiples proveedores (incluido Synack) con el contexto empresarial proporcionado por la organización. Esto garantiza que los equipos de seguridad sepan qué vulnerabilidades presentan los riesgos más urgentes. Las puntuaciones de riesgo facilitan la detección de alertas ruidosas para centrarse en las vulnerabilidades y los activos afectados que importan. La integración de Nucleus/Synack con Synack correlaciona la puntuación de riesgo, la criticidad y la explotabilidad, de modo que la información procesable aparece en primer plano. Al profundizar en los resultados de las pruebas de Synack resaltados por Nucleus, los clientes obtienen detalles sobre la naturaleza del exploit y recomendaciones específicas sobre cómo remediar el problema antes de que los malos actores puedan aprovecharse de la brecha de seguridad. La integración está disponible sin cargo adicional para los clientes con suscripciones válidas a Synack y Nucleus. Para obtener información sobre cómo configurar su conector Synack para Nucleus, visite: https://help.nucleussec.com/docs/synack Acerca de Nucleus Security La plataforma Nucleus es una solución de gestión de vulnerabilidades basada en riesgos (RBVM) que automatiza los procesos y flujos de trabajo de gestión de vulnerabilidades, lo que permite a las organizaciones mitigar las vulnerabilidades 10 veces más rápido, utilizando una fracción de los recursos que se necesitan para realizar estas tareas en la actualidad. Acerca de Synack La exclusiva plataforma de pruebas de seguridad bajo demanda de Synack aprovecha una comunidad de investigadores de seguridad fiable y con talento, así como una tecnología inteligente, para ofrecer pruebas de penetración y gestión de vulnerabilidades, con resultados procesables. Estamos comprometidos a hacer que el mundo sea más seguro, dando a las organizaciones acceso bajo demanda a los investigadores de seguridad más fiables del mundo. Con sede en Silicon Valley y equipos regionales en todo el mundo, Synack protege a agencias federales, activos clasificados del Departamento de Defensa de EEUU y una creciente lista de clientes de la lista Global 2000. Solo en 2023 descubrió más de 14.000 vulnerabilidades para clientes. Para más información, visite www.synack.com.
6 Junio 2024
Opinión
Si a principios del siglo XX alguien hubiese escrito un artículo sobre el futuro de la seguridad vial, seguramente habría vislumbrado un panorama bastante desolador. A medida que se popularizaba el uso del automóvil, iban aumentando los accidentes de tráfico, que llegaron a convertirse en la primera causa de muerte accidental. A pesar de los esfuerzos del regulador por crear una serie de normas de seguridad vial y darlas a conocer a la sociedad, no parecía posible llegar a tener control sobre el comportamiento de los conductores. Y la tecnología seguía evolucionando rápidamente, haciendo los vehículos cada vez más accesibles, rápidos y peligrosos. Aún no había semáforos, ni una señalización estandarizada en las vías de circulación. Los fabricantes de automóviles no tenían ninguna obligación de incluir medidas de seguridad de serie, ni responsabilidad alguna sobre los accidentes. El único responsable era el propietario del vehículo, que además de sufrir un accidente, podía ser sancionado. Este panorama es tremendamente similar al que tenemos actualmente en el ámbito de la ciberseguridad. Pero, como en la seguridad vial, si tocamos las teclas adecuadas, podemos ser optimistas. Casi un siglo después, se ha logrado reducir significativamente la tasa de accidentalidad y, sobre todo, el índice de gravedad de los accidentes de tráfico. Y esto ha sido posible gracias al esfuerzo de toda la sociedad por medio de tres palancas clave: tecnología, regulación y cultura. Hasta la fecha, donde mayor foco se ha puesto en materia de ciberseguridad, es en el ámbito de la tecnología, desarrollando sistemas de defensa para proteger los nuevos entornos tecnológicos a medida que se iban desplegando, en una difícil carrera por avanzar al ritmo vertiginoso de la digitalización y anticiparnos a los atacantes. Ahora, la inteligencia artificial generativa y la computación cuántica convertirán nuestras carreteras en autovías de alta velocidad y tendrán el potencial de disparar la probabilidad y la gravedad de los incidentes. Pero la tecnología no es el problema, también se beneficiarán de estos avances nuestros mecanismos de defensa. El principal problema es que sigamos llegando tarde con las medidas de ciberseguridad. Al igual que no se puede empezar a pensar en la seguridad de un puente una vez finalizada su construcción, la ciberseguridad debe tenerse en cuenta desde el diseño, desde la propia concepción de la tecnología. Y esto se consigue a través de las otras dos palancas: regulación y cultura. En el ámbito de la regulación, necesitamos urgentemente una agencia de ciberseguridad equivalente a la DGT, que establezca normas y estándares, asigne responsabilidades no solo a los conductores (usuarios y empresas), sino también a los fabricantes de los vehículos (tecnología) y a los responsables de las carreteras (comunicaciones), y supervise su cumplimiento a través de inspecciones y campañas de vigilancia, y fomente un uso responsable y seguro de la tecnología. La creación de este organismo se encuentra actualmente en el centro de un agitado debate en torno a la transposición de la directiva europea de seguridad de las redes y sistemas de información (NIS2). Pero, en el ámbito competencial, no deberíamos confundir el medio con el fin, los riesgos con las amenazas, ni la ciberseguridad con los ciberataques. Al igual que la DGT es responsable de que el ecosistema vial sea seguro en su conjunto, pero no de prevenir o actuar ante coches bomba, ataques contra las infraestructuras, o persecuciones de criminales cuando se producen por carretera, la inteligencia de amenazas (ciber o físicas), la persecución del crimen (virtual o material), y la protección de las infraestructuras críticas y de los ciudadanos frente a ataques maliciosos (ciber o físicos), deberían seguir residiendo en los mismos organismos que ostentan dichas responsabilidades en el ámbito físico y continuar haciéndolo en una sociedad cada vez más digital, con una visión integral de la seguridad. Siguiendo con el símil de la seguridad vial, lo que necesitamos es una agencia que, en coordinación con otros organismos internacionales, se centre en que los fabricantes (y no los usuarios) sean responsables de poner cinturones de seguridad y ABS de serie, normalice y supervise la señalización de las carreteras, despliegue certificaciones e ITVs obligatorias para los usuarios y lance campañas de vigilancia y concienciación. Este último ámbito, el de la cultura, es clave para que tengamos una ciudadanía consciente de los riesgos a los que se expone en un entorno cada vez más digital y formada en un uso seguro y responsable de la tecnología que todo lo impregna. Esta formación, como sucede con la seguridad vial, debería comenzar desde la más tierna infancia, en la medida en que los niños nacen en una sociedad que ya es digital y tienen acceso a la tecnología cada vez más temprano. Pero es especialmente importante que se extienda al ámbito académico y profesional. No es aceptable que, especialmente en las carreras técnicas (y no me refiero solo a las informáticas), los futuros responsables de innovar y de producir u operar las tecnología digitales o industriales, no reciban una formación exhaustiva en materia de ciberseguridad. Sin embargo, parece que solo nos estamos centrando en formar a superespecialistas de ciberseguridad que se van a enfrentar a una carrera cada vez más vertiginosa y difícil de ganar para intentar solucionar los problemas causados por otros, cuando ya es demasiado tarde. Y al llegar el incidente (que llegará), sobre ellos caerá toda la responsabilidad. Pero seamos optimistas y pensemos que, como en el caso de la seguridad vial, si actuamos sobre las palancas adecuadas, el futuro de la ciberseguridad será halagüeño. Esperemos no tardar un siglo… Rosa Kariger Directora de Análisis y Prospectiva de Seguridad en Iberdrola y Presidenta del Consejo Asesor de CyberLideria
14 Mayo 2024
Sin categoría
En mi época de CEO de una compañía americana de energías renovables, me preocupaban fundamentalmente dos cosas: definir y ejecutar la estrategia más adecuada para hacer crecer a la compañía y obtener el beneficio esperado, controlando el riesgo. Desde el punto de vista financiero, usábamos diversas estructuras de financiación de proyectos sin recurso al accionista, que confiaban en la generación de flujos libres de caja del proyecto para amortizar la deuda y, además de contar con coberturas financieras para estabilizar los flujos de caja en un mercado altamente dinámico y volátil, era fundamental contar con una operación eficiente e impecable. Este aspecto constituía un reto nada desdeñable en un negocio industrial que debe funcionar las veinticuatro horas del día, los siete días de la semana y entregar al mercado un producto de calidad, que se consume en tiempo real, además de estar sujeta a complejas estructuras de venta en distintos mercados eléctricos, con regulaciones diferentes y penalidades muy severas si no se entregan. Tanto en el lado operativo, como en el financiero, descubrí que la clave estaba en entender muy bien los factores que podían afectar negativamente a la operación y desplegar las medidas adecuadas para prevenir su ocurrencia y/o mitigar su impacto, con criterios de rentabilidad, o bien contratar un seguro cuando fuese posible En el pasado, los factores de riesgo operacional eran complejos de gestionar, pero conocidos. Desde fenómenos meteorológicos, hasta fallos mecánicos o electrónicos, pasando por actos de sabotaje o robo de material, para casi todos teníamos profesionales expertos, regulaciones claras, estándares de mercado que habían sido mejorados a lo largo de muchos años, y un vasto historial de eventos que nos permitía entender e incluso cuantificar el riesgo estadísticamente. El mercado asegurador también era capaz de entender el riesgo y nos ofrecía una amplia gama de productos para cubrir los posibles daños o el lucro cesante, a precios razonables. Mi trabajo como CEO era sencillo: los expertos me presentaban los posibles riesgos y el presupuesto para su mitigación y yo solo debía decidir hasta donde tenía sentido invertir en medidas de protección y cuándo era preferible aceptar el riesgo o contratar un seguro. Podía dedicarme a la estrategia. Pero a medida que empezamos a digitalizar nuestros procesos, aparecieron los riesgos de ciberseguridad. Al principio, nos preocupaba la protección de la información, el espionaje y el fraude financiero, pero nuestro equipo de informática parecía tenerlo controlado. Sin embargo, pronto nos dimos cuenta de que también podía afectar a nuestras operaciones industriales, a nuestros activos físicos, e incluso a la seguridad de las personas. En nuestro caso, riesgo exacerbado por ciertas regulaciones del sector eléctrico norteamericano que impedían en la práctica usar soluciones en la nube, y en su lugar exigían la implementación y uso de centros de datos propios, que aumentaban exponencialmente nuestra exposición al riesgo ciber. Recuerdo que, como CEO, traté de aplicar la misma lógica que siempre me había funcionado para el resto de los riesgos operativos, y que yo mismo aplicaba en mis tiempos de ingeniero. Llamar al experto para que me explicase bien el riesgo en términos de probabilidad de ocurrencia e impacto sobre la operación, entender la rentabilidad de las medidas necesarias para mitigarlo, comparar también con el coste de contratar un seguro, y decidir. Para mi sorpresa, ninguna de estas premisas se cumplía. Iba a tener que volver a dedicarle más tiempo a la operación. Nadie, era capaz de explicarme cómo - en concreto - podían afectarnos en la operativa esos aterradores ataques de ransomware, phishing o DDoS que, según me reportaban, se lanzaban por miles cada minuto con terribles pero inciertas consecuencias para muchas empresas y, ni mucho menos la probabilidad de que nos afectase o cuánto nos podría costar si sucediese. El experto de ciberseguridad, que era del Equipo de Sistemas, y no entendía de nuestras operaciones industriales, me pedía un presupuesto millonario para instalar una serie de medidas fundamentales con el objetivo de protegernos contra esos ataques, pero sin indicar el retorno de esa inversión, y el responsable de operaciones, que no entendía de ciberseguridad, opinaba que era innecesario y que las medidas propuestas impactarían negativamente en la eficiencia. Debido a esta falta de capacidad para entender la probabilidad de ocurrencia y cuantificar las potenciales consecuencias, las pólizas de seguros tradicionales, que inicialmente ni mencionaban el riesgo ciber (cobertura silenciosa, o fuente de litigio), cuando lo hicieron fue para excluirlo. Y cuando ciertas aseguradoras empezaron a incluirlo, ofrecían pocos productos alternativos con multitud de exclusiones, límites insuficientes, y a precios desorbitados. En definitiva, seguros que no suponían ninguna transferencia real de riesgo. Decidimos probar algunas soluciones de cuantificación del ciberriesgo que había en el mercado, pero solo abarcaban los entornos TI y estaban basadas en una mera observación externa de nuestro perímetro que, a medida que migrábamos a la nube, se iba desdibujando. Tanto me obsesionó esta cuestión que, en 2017, y una vez completado el proyecto anterior, decidí fundar DeNexus, una compañía dedicada a cuantificar y gestionar los riesgos de ciberseguridad en entornos industriales con datos reales de ataques, controles y vulnerabilidades, tanto internos, como externos, y que permite priorizar las inversiones necesarias para mitigarlos, con base en su rentabilidad. Mi objetivo era ayudar a otros CEOs a entender el riesgo ciber, y tomar decisiones informadas de gestión o transferencia. Pronto encontré una gran acogida entre los responsables de las empresas energéticas. También un gran interés en mi solución por parte de las aseguradoras que, por fin, podían disponer de una estadística real de eventos e impactos en la que basar sus cálculos financieros y ofrecer productos de cobertura a precios razonables. Actualmente, ayudamos a multitud de empresas de diferentes sectores industriales y estamos evolucionando nuestra solución para cubrir también entornos TI, a la vez que seguimos avanzando con el mercado asegurador para poder ofrecer coberturas adecuadas para este importante, pero cada vez menos desconocido riesgo. José Seara Fundador y CEO de DeNexus
14 Mayo 2024
Sin categoría
En la vanguardia de la revolución digital, la ciberseguridad se postula como piedra angular que sostiene los cimientos de nuestra sociedad. En un mundo donde la información es el activo más valioso y la tecnología avanza a pasos agigantados, la evolución de la ciberseguridad es más vital que nunca. No en vano se ha convertido en preocupación, e incluso quebradero de cabeza en ocasiones, para gobiernos, empresas y usuarios individuales. En España, por ejemplo, aceptada la idea de una sociedad cada vez más digitalizada y dependiente, también ha crecido la concienciación sobre los riesgos cibernéticos. Prueba de ello fue la creación en 2006 del Instituto Nacional de Ciberseguridad (INCIBE), que desempeña desde el primer día un papel crucial en la promoción de la conciencia cibernética y la protección de infraestructuras críticas en España. El Panorama Actual de la Ciberseguridad Los ciberataques se han convertido en una realidad emergente, donde la punta del iceberg mostró por fin al gigante de hielo que se escondía bajo las aguas de la era digital. La inteligencia artificial y el aprendizaje automático jugarán un papel central en la protección y manejo de estas amenazas. Al mismo tiempo, permitirán la anticipación y prevención de ataques antes de que ocurran. Los algoritmos avanzados podrán analizar patrones de comportamiento, identificar anomalías y tomar medidas preventivas de forma autónoma, reduciendo significativamente el tiempo de respuesta ante los peligros cibernéticos. El ransomware, el phishing, e incluso las vulnerabilidades en infraestructuras críticas y dispositivos, se han convertido en enemigos sin rostro, capaces de efectuar daños que dejan cicatrices latentes, tanto en ámbitos económicos como laborales, sociales, anímicos. A medida que la tecnología continúa evolucionando, los ciberdelincuentes también adaptan y desarrollan nuevas técnicas para explotar las debilidades de sistemas y redes. Sus sistemas de ataque son cada vez más complejos, sofisticados, a veces hasta personalizados, y por tanto más difíciles de localizar. Desafíos del Futuro El futuro de la ciberseguridad debería ligarse inequívocamente a la innovación, porque cada avance y proceso evolutivo supone un salto hacia a un creíble y permanente mundo digital seguro. Pero las mismas herramientas que facilitan el trabajo de la ciberseguridad son, por otro lado, armas de destrucción masiva digital en manos de los criminales cibernéticos. La proliferación de dispositivos conectados a Internet, los aparatos domésticos inteligentes, y las infraestructuras industriales (digitalizadas casi en su totalidad a nivel global), crean un amplio panorama de posibles puntos de entrada para los ciberataques. La seguridad de estos productos, y en muchos casos “la inseguridad” de los mismos, representa un desafío significativo para la ciberseguridad a corto y largo plazo. Disponer de una red interconectada tiene sus ventajas, pero quizás demasiados inconvenientes. Resiliencia como Fortaleza En un mundo donde los ciberataques son casi tan inevitables como las enfermedades, la resiliencia es una de las fortalezas más determinantes. La capacidad de recuperación de una organización ante un ciberataque no solo depende de sus defensas tecnológicas, sino también de su cultura de seguridad, su capacidad de respuesta y su preparación para lo desconocido. La bautizada como “ciberresiliencia” no se trata solo de resistir las embestidas de la adversidad cibernética, sino de fortalecerse ante cada desafío, aprendiendo y mejorando las defensas sin pausa alguna. Las organizaciones deben adoptar un enfoque holístico que incluya no solo medidas de seguridad tecnológica, sino también políticas de gestión de riesgos, planes de respuesta a incidentes y capacitación continua del personal. No solo se debe crecer en materia de ciberseguridad, también hay que saber evolucionar, crecer y mantener un paso constante y firme. Por ello es vital la concienciación y la formación continua en las empresas. Desde la alta dirección hasta los trabajadores de primera línea, todos deben comprender los riesgos cibernéticos y saber cómo reconocer y responder. La formación regular en seguridad cibernética y la promoción de una cultura de seguridad son esenciales para fortalecer las defensas cibernéticas de una organización. Pero no hay que olvidar algo importante: ninguna institución, organización, o persona puede plantarse por sí sola ante las intrincadas amenazas cibernéticas actuales (o venideras). La colaboración entre sectores público y privado, compartiendo tanto información como recursos, son fundamentales para fortalecer todas las defensas cibernéticas y proteger los cada vez más frágiles activos digitales. La Tecnología es una Solución Si bien la conciencia y la formación son cruciales, también lo es contar con tecnologías de ciberseguridad avanzadas para proteger los activos digitales de una organización. Las empresas deben dirigir una parte significativa de sus esfuerzos e inversiones en herramientas y tecnologías que les permitan detectar, prevenir y responder eficazmente a las amenazas cibernéticas. Existe un amplio abanico de opciones y posibilidades: firewalls, sistemas de detección de intrusiones, soluciones de gestión de vulnerabilidades, o análisis de comportamiento de usuarios. Pero también se han incorporado al diccionario de necesidades otras opciones prometedoras, como la tecnología Blockchain, cuya capacidad para crear registros inmutables y transparentes puede revolucionar la gestión de identidad digital, la autenticación de usuarios y la protección de datos sensibles. Así mismo, también se ha verificado la eficiencia de los principios de la mecánica cuántica, tales como la superposición y el entrelazamiento, que ofrecen nuevas formas de proteger la información digital contra ataques cibernéticos, gracias a cifrado impenetrable que ofrecen sus algoritmos cuánticos. Un Futuro de Esperanza La ciberseguridad del mañana abordará desafíos aún mayores y más complicados que los de hoy, pero también oportunidades para la innovación y el avance. Con un enfoque proactivo y colaborativo será posible construir un futuro digital más seguro y resiliente. Además de adoptar medidas internas apropiadas de seguridad cibernética, las empresas también pueden beneficiarse de la colaboración y el intercambio de información con entidades del sector. Participar en grupos de trabajo, compartir datos de amenazas y colaborar en la investigación de incidentes puede ayudar a edificar defensas infranqueables, o al menos bloques protectores estables con suficiente fiabilidad como para mantener intacta la información digital, mientras brotan nuevas mejoras evolutivas de seguridad. A medida que navegamos por el laberinto digital del futuro, es fundamental mantener la mente abierta y adaptable, sin perder de vista cualquier enfoque. Porque las amenazas serán paulatinamente más complejas, pero también deberían serlo las capacidades para hacerlas frente de quienes intervienen en este nuevo y renovado renacimiento digital. Daniel García Redactor Jefe y Gestor Web de CyberLideria MGZN
14 Mayo 2024
Sin categoría
Mientras escribo este artículo, intento buscar una respuesta a través de un catalejo imaginario para dirigir la ciberseguridad en un futuro que cada segundo cambia y se moldea ante nuestros ojos. Dos estrellas guía, especialmente deslumbrantes, que todo buen capitán de la ciberseguridad debe conocer en estos tiempos llaman la atención: la inteligencia artificial (Sirius) y la resiliencia (Canopus). “Sirius y Canopus” emergen singularmente en el oscuro cielo nocturno para guiar la navegación hacia buen puerto, yson, en mi opinión, los pilares sobre los que se construirá una defensa cada vez más robusta y adaptable. En mi experiencia, cualquier Consejo o Comité de Dirección tiene en mente que el futuro de su compañía a nivel de ciberseguridad está orientado hacia protegerse de la evolución de la tecnología plasmada en las distintas variables de los métodos de ataque. En este punto, cabe recordar que la ciberseguridad ha sido tradicionalmente una carrera de fondo basada en el estudio, diseño, desarrollo, prueba y generación de medidas que prevengan/obstaculicen los ataques. Por tanto, la mayoría de las empresas han invertidoinmensamente en prevenir y detectar amenazas, construyendo muros cada vez más altos y fosos más profundos alrededor de sus activos. Sin embargo, y tras conocer más en profundidad la forma de ver los procesos de negocio a través de los ojos de consejeros, CEO’s y CFO’s, los vientos parecen indicar que hay un cambio de enfoque importante para ellos que se está perfilando con fuerza en el horizonte de la ciberseguridad: la importancia de la recuperación rápida e infalible de los procesos de negocio en plazos que rozan lo inmediato. Este enfoque no es innovador y disruptivo para un CISO. Sin embargo, es un reflejo de una comprensión más profunda de la naturaleza de los nuevos ataques por parte de los Consejos de Administración y los Comités de Dirección y la necesidad de resiliencia post-incidente, inherente a cualquier proceso de negocio. ¿Por qué ahora cobra especial importancia los tiempos de recuperación en Ciberseguridad? El impacto de un ataque puede ser devastador, teniendo todos ellos un denominador común fijo: el tiempo de recuperación golpea de lleno en la línea de flotación de la viabilidad económica. Las interrupciones prolongadas del negocio online no sólo afectan a la rentabilidad, sino también la confianza del cliente, los procesos de venta y la reputación corporativa. Por tanto, si sumamos la variedad de los ataques que la inteligencia artificial puede generar al tiempo que tarda una empresa en reanudar sus operaciones normales es cuando, en la mente del C-Level y de los consejeros, se prioriza la recuperación rápida (especialmente si el modelo financiero se basa en una facturación diaria) porquesaben que nada puede proteger su empresa al 100%. Este enfoque representa un cambio significativo en cómo las gerencias de las organizaciones visualizan la importancia de la ciberseguridad: ¿Priorizar la recuperación significa olvidarnos de la prevención? No, en absoluto. Uno de los pilares de esta nueva orientación es la utilización de la Inteligencia Artificial en la prevención. La IA permite aumentar la detección de patrones de ataque y, por tanto, es crucial en la recuperación rápida. Un ejemplo: Implementar procesos que permitan automáticamente comenzar a restaurar datos limpios y funcionalidades según priorizaciones previas establecidas al detectar patrones de ataque que no sean falsos positivos, hará que las empresas puedan reducir significativamente los tiempos de respuesta y por tanto la perdida de operatividad de sus negocios. El beneficio es entonces doble. La IA no solo acelera el proceso de recuperación, sino que también ayuda a prevenir futuros ataques. "Gana primero, y luego ve a la guerra" - Sun Tzu La ciberseguridad está en un punto de inflexión hacia sus prioridades. Si no se puede hacer frente a un tsunami de posibles variaciones en los vectores de ataque (guerra), la recuperación rápida e infalible (gana) se convierte en una necesidad imperiosa especialmente desde el prisma financiero. El futuro pertenece a las organizaciones que se adapten antes al uso de herramientas como la inteligencia artificial y tengan un conocimiento profundo de su propio entorno digital, haciendo que “Sirius y Canopus” seanuna piedra angular para cualquier estrategia de ciberseguridad que se precie. Isabel María Gómez CISO, Cybersecurity Advisory Board member y Consejera Independiente
14 Mayo 2024
Suscríbete GRATIS y disfruta de contenido ilimitado sobre ciberseguridad y personas
